S03E15: Koelingen van supermarkten op afstand opgewarmd

S03E15

In de nacht van zondag 1 op maandag 2 november werden in België en Nederland de koelingen en diepvriezers van supermarkten, slagerijen en buurtwinkels op afstand ontregeld, in België door de verdampers in de ontdooistand te zetten. Volgens een overzicht van BleepingComputer ging het om meer dan 115 winkels in zes landen, en in de dagen daarna kwamen er meldingen bij uit onder meer Duitsland, Italië en het Verenigd Koninkrijk, en van een leverancier van de Franse bloedbank. Bij Binance werd deze week duidelijk hoe de aanvallers binnenkwamen, via een gemanipuleerd hulpprogramma en een nepsollicitatie, en de FBI wijst naar Noord-Korea.

Zeven dagen, zaterdag 31 oktober tot en met vrijdag 6 november, en 246 berichten. Daarin ook een week waarin aanvallers steeds vaker AI agenten het werk lieten doen, met erbij wat dat wel en niet verandert, inbraken en datalekken van Micazu tot de moedergroep van Keytrade Bank, een reeks lekken die u vandaag kunt dichten, en zoals elke week de claims van criminelen, met wat er wel en niet vaststaat.

Koelingen in de ontdooistand, van Hoepertingen tot Lilienthal

Volgens VRT NWS ging het in België om een veertigtal winkels van Delhaize. Carrefour België meldt vijftien getroffen winkels, en volgens Colruyt Group gaat het ook om een vijftal zelfstandig uitgebate winkels van Spar; winkels van Colruyt zelf zijn niet getroffen. Het overzicht van BleepingComputer noemt daarnaast ongeveer vijftien vestigingen van Intermarché. In de Proxy Delhaize in Hoepertingen schat zaakvoerder Gerte Bouchet dat voor minstens 60.000 euro aan eten is weggegooid. De diepvriezers, die normaal op min 22 graden draaien, liepen daar op tot 15 graden. Volgens koelinstallateur Sabcobel werden de verdampers op afstand in de ontdooimodus gezet, hetzelfde mechanisme als bij de Franse supermarkten in oktober. Het federaal parket heeft een strafonderzoek geopend.

In Nederland is volgens leverancier Danfoss tegenover de NOS bij ten minste zeventien bedrijven ingebroken in de koelsystemen, onder meer bij slagerijen en kleine buurtwinkels. Bij een opslaglocatie voor bevroren producten stonden de systemen die nacht op min 10 in plaats van min 20 graden. Volgens Danfoss stonden de aangevallen systemen niet op een beveiligd netwerk en hadden ze een standaardwachtwoord, en adviseerde het bedrijf Nederlandse klanten op 13 oktober al om ze van het internet los te koppelen. Albert Heijn, Jumbo en Plus zeiden maandag geen last te hebben van de aanval. Het NCSC adviseert organisaties met een koelinstallatie om bij de leverancier na te gaan of die kwetsbaar is.

Ook uit andere landen kwamen meldingen. In Zweden stonden vriezers van ICA en Coop volgens Euronews op 50 graden Celsius. In het Duitse Lilienthal mat de uitbater van een supermarkt van Edeka volgens Tagesschau 's ochtends 70 graden in de versvitrine. In het Verenigd Koninkrijk kwamen de aanvallers volgens de brancheorganisatie AIMS bij drie van haar leden binnen via kwetsbare controllers van Copeland XWEB. Bij Coolworld, de leverancier van koelingen van de Franse bloedinstelling EFS, werden vriezers die normaal rond min 30 graden staan volgens Le Canard enchaîné ingesteld op 110 graden. Dat is een ingestelde waarde en geen bereikte temperatuur, en volgens EFS zijn er geen bloedproducten verloren gegaan. Sanquin zag volgens een woordvoerder geen pogingen bij de eigen koelingen.

Wie hierachter zit, staat niet vast. Lupovis, een Schots beveiligingsbedrijf met lokinstallaties die op de systemen van Danfoss lijken, telde tussen 20 en 30 oktober 256 inbraakpogingen en schat de kans op een groep met banden met de Russische staat op ongeveer 95 procent. Dat is de inschatting van één bedrijf. De prorussische groepen Z-Pentest en NoName057(16) claimen de aanval, maar volgens De Morgen konden die claims niet worden geverifieerd en zijn de kanalen op Telegram waarop ze verschenen verwijderd. Het Kremlin noemt de beschuldiging "volstrekt absurd". Het CCB houdt er rekening mee dat de daders nooit worden geïdentificeerd. Eurocommissaris Christophe Hansen spreekt van een bewuste poging om de voedselvoorziening te ontwrichten, en zegt tegelijk dat de voedselzekerheid niet in gevaar is.

Het tegenvoorbeeld hoort erbij. Safeonweb ziet geen aanwijzingen dat koelkasten bij mensen thuis het doelwit zijn. En het Nederlandse bedrijf Modat telde vorige maand wereldwijd nog 16.000 toegankelijke systemen, waarvan er inmiddels meer dan 9.000 verdwenen zijn. In de aflevering over Albert Heijn en de Franse koelingen schreef ik al over deze systemen. De les is niet anders dan toen, alleen dringender. Een koeling die vanaf internet te bedienen is met een standaardwachtwoord, is geen technisch detail meer. ENISA, Europol en de Europese CSIRTs riepen in een gezamenlijke verklaring op om die blootstelling direct te beperken, en CISA en de FBI waarschuwden samen met drie Amerikaanse ministeries voor aanvallen op industriële koelsystemen wereldwijd.

Binance, de nepsollicitatie en de ontkenning

Op zaterdag 31 oktober maakte de FBI bekend dat TraderTraitor, een eenheid die door de staat Noord-Korea wordt gesteund, verantwoordelijk is voor de diefstal van meer dan 6 miljard dollar bij Binance, waarover ik vorige week schreef. De FBI publiceerde ook honderden adressen op Ethereum, 19 op Bitcoin en één op Solana, en vraagt cryptodiensten transacties met die adressen te blokkeren. Noord-Korea ontkent. Kim Yo-jong, de zus van leider Kim Jong-un, noemde de bevindingen een "ernstige politieke provocatie". Dat is een ontkenning, geen weerlegging van het onderzoek.

Op 3 november publiceerde Binance een eerste incidentrapport. In juni downloadde een engineer van het team dat de wallets beheert een gemanipuleerde installatie van Homebrew, toen hij via een zoekmachine een populair AI hulpmiddel voor programmeren zocht. Binance verving het toestel en de inloggegevens, maar zijn rol en zijn collega's waren al zichtbaar voor de aanvaller. In september werd een tweede engineer via een legitiem vacatureplatform benaderd. Na een videogesprek met een zogenaamde HR medewerker en een tweede gesprek met de zogenaamde topman van een verzonnen bedrijf moest hij een opdracht op zijn werklaptop zetten. Die code verving het onderdeel pyenv door een kwaadaardige versie. Op 29 oktober rolde de aanvaller met een gestolen token een container uit en startte een kwaadaardig script. Volgens medetopman Richard Teng ging het om een campagne die maanden was voorbereid.

Ongeveer 2,85 miljard dollar is bevroren of onderschept, en volgens Binance was op 31 oktober het grootste deel van de getroffen tokens aangevuld uit eigen middelen. Klanten haalden na de heropening van de opnames volgens Reuters netto 4,72 miljard dollar weg. Voor Nederlandse beleggers zijn de gevolgen volgens de Nederlandse Vereniging Cryptodienstverleners vermoedelijk klein. Binance is sinds 2023 niet meer actief in Nederland, omdat het geen registratie bij De Nederlandsche Bank kreeg. De les gaat verder dan crypto. Een sollicitatiegesprek is een moment waarop mensen gewend zijn behulpzaam te zijn en een bestand te openen. Binance zegt in 2026 al 57 vermoedelijk Noord-Koreaanse pogingen te hebben tegengehouden, en deze ene lukte.

AI agenten aan het werk, en wat dat niet verandert

Eén naam kwam de afgelopen dagen bij veel onderzoeksbureaus terug. ARTEX is een raamwerk waarin AI agenten inbraaktests grotendeels zelfstandig uitvoeren, en volgens Google Threat Intelligence Group en Mandiant gebruiken uiteenlopende aanvallers het sinds eind augustus. In één geval haalde ARTEX meer dan 110.000 objecten uit Active Directory op. CrowdStrike zag de aan China gelinkte groep die het Vapor Panda noemt ARTEX inzetten tegen meer dan 200 organisaties wereldwijd, en meldt dat onder meer bij een telecomaanbieder in België is ingebroken. CrowdStrike noemt dat bedrijf niet bij naam. Volgens Microsoft ging een AI agent in minstens één geval in vijf minuten van het doorzoeken van GitHub naar het weghalen van gegevens uit Azure Key Vault.

Het gereedschap is zelf ook niet veilig. Check Point keek op tien verkeerd ingestelde servers in de beheerconsoles van de aanvallers en zag dat die hun agenten na het instellen van het doel vooral naar de voortgang vroegen. Een nagemaakt image van ARTEX op Docker Hub bevatte volgens het onderzoeksplatform BadByte een achterdeur die elk commando als root uitvoerde, en was op 3 november 7.913 keer binnengehaald. Wie dat nagemaakte image binnenhaalde, kreeg er dus zelf een achterdeur bij, en een controle van de broncode had dat niet laten zien.

Bitdefender beschrijft een aanval met de ransomware 3AM op een groep scholen in het Verenigd Koninkrijk, waarbij volgens de lezing van Bitdefender een mens de stappen koos en een taalmodel in een lus commando's uitvoerde en herhaalde. Bitdefender noemt dat zelf een interpretatie en geen vaststelling. Ongeveer 37 machines werden versleuteld, en Bitdefender benadrukt dat het om één geval gaat en nog niet om een trend. Acronis vond een operator in Taiwan die met een netwerk van twaalf AI agenten honderden organisaties in elf landen aanviel, maar volgens Acronis was meer dan de helft van de bevindingen met een hoge of kritieke ernst vals positief. En Kaspersky, dat een aanval met het raamwerk CyberStrikeAI beschreef, wijst erop dat verdedigers bij zo'n agent dezelfde handelingen zien als bij een menselijke indringer.

Dat brengt het tegenwicht. Het Britse NCSC hielp in een jaar bij 337 incidenten, waarvan 80 van nationaal belang, en schrijft dat de meeste geslaagde inbraken nog verliepen via bekende kwetsbaarheden, gestolen inloggegevens en social engineering. Het zag aanvallers AI gebruiken, maar geen van die toepassingen maakte een nieuw soort aanval mogelijk. Directeur Richard Horne waarschuwt wel voor een mogelijk ongekende toename van incidenten, omdat lang gedoogde kwetsbaarheden nu op grote schaal te vinden zijn. Microsoft rekende uit dat van ongeveer 383.000 gepubliceerde kwetsbaarheden er zo'n 2.000 met echte aanvallen in verband zijn gebracht, ongeveer 0,5 procent, en dat de tijd tot opname op de lijst van actief misbruikte lekken van CISA in 2026 tot en met september een mediaan van 3 dagen heeft. Wat ik ervan vind? AI vindt geen nieuwe deuren uit, het probeert sneller welke deuren al open stonden. Wie zijn eigen deuren kent, wint daar nog steeds van.

Gestolen sleutels voor AI diensten

Wie de sleutels van een ander heeft, laat diens rekening betalen. Bij Northflank, een platform waarop bedrijven software en AI agenten draaien, moesten klanten op 30 oktober volgens het bedrijf aannemen dat al hun omgevingsvariabelen waren ontsleuteld, en meerdere gebruikers bevestigden dat hun AI sleutels door anderen waren gebruikt. Wiz telt sinds begin oktober minstens twaalf ontwikkelplatforms voor AI die een incident meldden, en zag bij twee gestolen sleutels het eerste misbruik binnen 30 minuten. Volgens Google liepen de frauduleuze kosten bij afzonderlijke incidenten op tot meer dan 100.000 dollar op één dag.

SpyCloud ziet infostealers die tokens en configuratiebestanden stelen van AI programma's zoals Claude Code, Codex, Cursor en GitHub Copilot. Zo'n token blijft volgens SpyCloud grotendeels bruikbaar na een nieuw wachtwoord en een MFA controle. Op ondergrondse markten zag het een sleutel voor Codex met 100 dollar tegoed te koop voor 8,94 dollar. Bij Chainalysis werd in oktober ingebroken door een partij die volgens het bedrijf offensieve technieken met agenten gebruikte. Op 30 oktober meldde Chainalysis nog dat alleen niet gevoelige klantgegevens waren ingezien, op 4 november dat namen, wachtwoordhashes en actieve tokens van alle gebruikers zijn blootgesteld.

SpyCloud en Microsoft adviseren in de kern hetzelfde. SpyCloud raadt aan bij elke besmetting van een computer van een ontwikkelaar ook de sleutels en tokens van AI programma's mee te nemen, en beide bedrijven zeggen dat blootgestelde sleutels moeten worden ingetrokken en vervangen. Een geheim dat alleen uit de code is verwijderd, blijft volgens Microsoft bruikbaar tot het is ingetrokken.

Micazu, en inbraken via een leverancier

Bij Micazu, een Nederlandse marktplaats voor particuliere vakantiehuizen, is in de nacht van 27 op 28 oktober via een beveiligingsfout ingebroken in een systeem dat het bedrijf gebruikt om de klantenservice te trainen. Dat systeem werkte met een kopie van een deel van de klantgegevens. Volgens Micazu gaat het om 44.190 mailadressen van huurders en verhuurders, met boekingsgegevens van de afgelopen zeven jaar. Micazu waarschuwt voor berichten die die gegevens misbruiken, zoals een valse schadeclaim na een verblijf of een terugbetaling waarvoor u bankgegevens zou moeten invullen, en heeft het datalek gemeld bij de Autoriteit Persoonsgegevens.

ABN AMRO haalde zijn boekhoudprogramma voor ondernemers uit voorzorg offline nadat een externe leverancier een mogelijk beveiligingsincident had gemeld. Of daarbij gegevens van klanten zijn ingezien, wordt onderzocht. Bij Crédit Mutuel Arkéa, de Franse moedergroep van de Belgische Keytrade Bank, kwamen aanvallers volgens de groep binnen via het platform van een van haar dienstverleners. De groep erkent de grootteorde van 118 miljoen euro die in de pers werd genoemd, en zegt dat de aanval geen financiële gevolgen heeft voor klanten. In Oostenrijk kregen wintersporters na een inbraak bij boekingssystemen die Feratel voor toerismebureaus beheert valse berichten via WhatsApp met hun accommodatie, verblijfsdata en boekingsnummer erin. Volgens Feratel kwamen de daders binnen met inloggegevens die bij een externe koppelpartner waren buitgemaakt.

Ook in software zat het risico in het kanaal waarlangs het binnenkwam. Bij OPSSHIELD, de maker van de beveiligingssoftware cPGuard voor Linux webservers, verspreidde een aanvaller op 2 november via het eigen updatekanaal een valse update, die volgens het bedrijf op ongeveer 2.950 servers van klanten draaide. Via het startprogramma van de game NIKKE werd bij spelers een programma geïnstalleerd waarmee aanvallers hun computer op afstand konden bedienen. En bij Polymarket, waarover ik vorige week schreef, meldde leverancier DebugBear dat zijn DNS via de domeinregistrar was overgenomen. Polymarket vergoedde 689 van de 726 getroffen wallets volledig.

Wat deze zaken delen is eenvoudig. Een bericht dat uw boeking, uw factuur of uw account noemt, is niet echt omdat de details kloppen. Die details zijn precies wat er is gestolen.

Nederland en België, wat verder vaststaat

Op vrijdag 30 oktober waren DigiD en DigiD Machtigen volgens Logius van 13.22 tot 14.20 uur verstoord door een overbelastingsaanval. Bij het klinisch laboratorium Maenhout in Waregem bevestigt de politiezone Mira een aanval met ransomware en een losgeldeis, die het labo volgens de politie niet van plan was te betalen. Het labo analyseert volgens VRT NWS elke dag ruim 5.000 bloedstalen en moet nu bloedstalen doorsturen naar andere labo's. Of er gegevens van patiënten zijn buitgemaakt, is niet duidelijk.

Pluxee, bekend van digitale maaltijdcheques, waarschuwde gebruikers in België dat aanvallers mogelijk toegang hadden tot namen, mailadressen en telefoonnummers. De gemeente Deurne meldde een datalek nadat zij na verzoeken op grond van de Wet open overheid bijna 36.000 pagina's aan Omroep Brabant en een lokale partij had gestuurd, waarin persoonsgegevens bleken te staan. Ahold Delhaize verwacht dat het cyberincident van oktober de omzet in het vierde kwartaal met 200 tot 250 miljoen euro verlaagt. Bij voetbalclub OG Vorselaar verdween geld van de clubrekening nadat oplichters een medewerker hadden gebeld.

En in België bleek uit onderzoek van de Commissie Onrechtmatige Bedingen dat sommige banken in hun algemene voorwaarden strenger zijn dan de wet bij de terugbetaling van slachtoffers van phishing. Slachtoffers krijgen daardoor minder bescherming dan waarop ze wettelijk recht hebben. Minister Rob Beenders noemt dat "niet aanvaardbaar" en wil het bespreken met sectorfederatie Febelfin.

Fraude aan de deur en aan de telefoon

De rechtbank Gelderland veroordeelde twee mannen uit Amsterdam van 25 en 24 jaar tot 18 en 6 maanden cel voor bankhelpdeskfraude. Zij belden de slachtoffers niet zelf, maar hun bijdrage was volgens de rechtbank onmisbaar. Het OM eiste 36 en 15 maanden cel tegen twee mannen voor bankhelpdeskfraude in Friesland; de uitspraak volgt nog, en een eis is geen veroordeling. In Gouderak haalde een zogenaamde bankmedewerker bij een vrouw van 81 de kluis leeg, met een buit van 150.000 euro, en in de Rotterdamse wijk Pendrecht verloor een vrouw 50.000 euro aan een man die het geld zogenaamd in een geldauto zou leggen. Het lijkt op wat ik eerder beschreef bij de pinpasfraude met een koerier in Almere.

Opvallend is wie het werk aan de deur doet. De politie hield op 4 november twee meisjes aan, onder wie een minderjarige, die zich vermoedelijk voordeden als agent bij de oplichting van ouderen. Volgens een rechercheur van het Digital Crime Team van Gelderland-Zuid worden minderjarigen steeds vaker ingezet, en regelmatig online benaderd door opdrachtgevers. In het Belgische Baal werden vier Nederlanders opgepakt, onder wie iemand van 14, nadat bij een vrouw van 72 een bankkaart en een gsm waren opgehaald. Praat er met uw kinderen over, want wie zo'n klusje aanneemt, riskeert zelf een strafblad.

Aan de telefoon en in de mailbox ging het net zo door. De Rechtspraak waarschuwt voor valse mails waarin om betaling van een rekening wordt gevraagd, en Opgelicht?! voor valse mails namens DELA en Triodos Bank en valse sms'jes namens ABN AMRO. KELA beschrijft een phishingnetwerk dat wie een site voor de tweede keer bezoekt een valse melding van een opgeschort account toont, zodat de site voor controleurs offline lijkt. Dezelfde servers draaien volgens KELA ook phishing tegen banken en cryptobeurzen in onder meer Nederland. Het gaat om nagebootste pagina's; bij de nagebootste instellingen zelf is volgens KELA niet ingebroken. Met steun van Eurojust en Europol werd een netwerk achter investeringsfraude opgerold, met zeven aanhoudingen, meer dan 100 servers uit de lucht en een geschat verlies van meer dan 4 miljoen euro. Het onderzoek begon in 2022 met de aangifte van een Duits echtpaar dat zijn spaargeld via een online handelsplatform had ingelegd en de winst niet kon opnemen.

Opsporing en rechtspraak

Google en partners ontmantelden het botnet XCPE, dat meer dan 1,3 miljoen settopboxen met Android omvatte. Google stelt met grote zekerheid dat de achterdeur opzettelijk is gebouwd door de fabrikant Videostrong, en sluit het bedrijf uit van gecertificeerde Android apparaten. In Finland werden de kapitein en de bootsman van het vrachtschip Fitburg veroordeld tot 3,5 jaar en 2 jaar en 10 maanden cel voor zware sabotage van onderzeese kabels in de Finse Golf; de uitspraak is nog niet definitief. Het Amerikaanse ministerie van Financiën legde een derde ronde sancties op aan het netwerk rond de Cambodjaanse Prince Group en fraudecentra.

Dichter bij huis stelt promovendus Marc van der Ham van de Universiteit Leiden drie meewerkplichten voor waarmee grote hostingproviders en aanbieders van cloud en netwerkdiensten de politie kunnen helpen bij ontwrichtende cybercrime. Zijn punt is herkenbaar. Na een inbraak bellen organisaties volgens hem vaak eerst hun beveiligingsbedrijf, en heeft de opsporing voor hen geen prioriteit.

Claims die nog geen feit zijn

Cybercrimeinfo ontdekte deze week weer claims van criminelen over Nederlandse en Belgische organisaties. Ik zet ze op een rij, juist omdat ze nog niets bewijzen. AUDIT TEAM zette een Nederlandse organisatie met de gemaskeerde naam Pe***CT op haar leksite, en ook palletmaker Cabka, dat aan Euronext Amsterdam genoteerd staat. SafePay claimt het Belgische kraanbedrijf DEOM en het dienstenchequebedrijf IL&C uit Tubize. Op een hackersforum wordt gratis een database aangeboden die volgens de aanbieder van Club Alpin Belge komt, een verkoper biedt een archief aan dat van het Belgische leger zou zijn, met vijf voorbeeldbestanden voor een geclaimd archief van meer dan 2.700 bestanden, en actoren claimen databases van Follow the Money. Geen van deze organisaties heeft deze claims bevestigd, en geen ervan is onafhankelijk geverifieerd. Cabka meldde in maart wel zelf een cyberincident; of de nieuwe claim daarmee samenhangt, is niet bekend.

ReliaQuest laat zien waarom die voorzichtigheid nodig is. Het aantal organisaties op leksites steeg in het derde kwartaal met bijna een derde, maar het grootste deel van die toename kwam volgens ReliaQuest van 43 groepen die nooit eerder iets hadden geplaatst, met lijsten die volgens de onderzoekers mogelijk ook gerecyclede gegevens en claims zonder bewijs bevatten. ReliaQuest adviseert wie op zo'n site staat de vermelding te behandelen als een niet geverifieerde claim en die eerst te toetsen aan de eigen logbestanden. Dat het anders kan, liet het labo in Waregem zien, waar de politie de aanval wel bevestigde.

Lekken die u vandaag kunt dichten

Het lek CVE-2026-123158 in OpenSSH, bekend als SSHole, wordt actief misbruikt. Previdian zag de eerste poging minder dan negen uur nadat het nummer was gepubliceerd. Het treft Linux met musl libc waarop sshd zonder PAM draait en inloggen met een wachtwoord aanstaat, zoals Alpine Linux; gangbare installaties van Debian en Ubuntu zijn volgens het NCSC niet kwetsbaar. Werk bij naar OpenSSH 10.6p2 of het herstelde pakket van uw distributie en herstart daarna sshd, want alleen bijwerken vervangt de draaiende dienst niet.

Voor het lek CVE-2026-98432 in de TCP code van de Linux kernel, met een score van 9,8, heeft Debian herstelde kernels uitgebracht en staan bij Ubuntu herstelde kernels klaar in de testomgeving proposed. Onderzoeker Marcus Hutchins ziet scans die volgens hem waarschijnlijk naar dit lek zoeken. Het NCSC schat bij Ivanti Connect Secure de kans op misbruik en de schade allebei hoog in, en meldt dat versies die eerder als gepatcht golden nog kwetsbaar zijn voor twee andere misbruikte lekken. Cisco werkte zijn advies voor het actief misbruikte lek CVE-2026-76461 in Secure Email Gateway bij nu er exploitcode online staat, en raadt aan over te stappen naar versie 16.5.0-780.

Barracuda dichtte twee lekken in onder meer de Email Security Gateway die samen roottoegang geven; maak de beheerinterface alleen bereikbaar vanaf vertrouwde interne netwerken. CISA zette het lek CVE-2026-119977 in WordPress op zijn lijst van actief misbruikte lekken, dat in versie 7.1.4 is gedicht. In Nederland draaien volgens ITdaily nog 180 en in België 36 GitLab servers die kwetsbaar zijn voor een van twee kritieke lekken. Wie BTCPay Server 2.4.1 of ouder draait, zet het resterende geld over naar een nieuwe wallet en richt een nieuwe server in, want alleen bijwerken neemt volgens het project geen toegang weg die een aanvaller al had.

Installeer Chrome 157, dat 213 beveiligingsfixes bevat waarvan zeven kritiek, en de Android update van november met patchniveau 2026-11-05. Voor switches van Zyxel uit de GS1900 reeks is een nieuwe update uitgebracht; bij een eerdere aanvalsgolf haalde een aanvaller volgens GreyNoise gegevens weg bij 996 switches in 48 landen. En voor SonicWall GMS 9.5.2 en ouder komen geen updates meer, dus vervang dat systeem.

Wat ik u zou aanraden

Stel uzelf de vraag die deze week oproept. Welke apparaten in uw winkel, magazijn of kantoor kan iemand van buitenaf bedienen? Een koeling, een switch, een beheerconsole. In Nederland ging het volgens Danfoss om installaties die niet op een beveiligd netwerk stonden en een standaardwachtwoord hadden. Vraag uw onderhoudspartij welke systemen op afstand bereikbaar zijn, met welk wachtwoord, en of dat via een VPN en meervoudige authenticatie loopt.

Kijk daarna naar sleutels en tokens. Bij Binance, bij de platforms voor AI en bij de aanvallen met ARTEX draaide het om sleutels en tokens die op een laptop, in een repository of bij een leverancier lagen. Draai geen opdracht of programma van iemand die u net hebt leren kennen op een werkcomputer, ook niet tijdens een sollicitatie.

En krijgt u een telefoontje van uw bank of de politie dat uw geld niet veilig is, hang dan op. Een bankmedewerker, CardStop of de politie komt nooit bij u thuis een bankkaart ophalen. Controleer vandaag één ding. Welke installaties van uw organisatie zijn vanaf internet te bedienen, en met welk wachtwoord?

Lees ook

► S03E14: Inbraak bij eSignFlow en miljarden weg bij Binance - Het begin van het verhaal over de diefstal bij Binance.

► S03E12: Incident bij Albert Heijn en aanval op Franse koelingen - De eerste golf aanvallen op koelsystemen in Frankrijk.

► Verdachte gezocht na pinpasfraude met koerier in Almere - Over de werkwijze achter fraude aan de deur.

Hoe hoort u op tijd dat een aanval uw sector raakt? Deze week werden bij slagerijen en supermarkten midden in de nacht de koelingen op afstand ontregeld, terwijl Danfoss en het Duitse BSI al in oktober hadden gewaarschuwd. Wie dagelijks ziet welke incidenten in Nederland en België spelen, kan eerder nagaan of de eigen systemen of leveranciers erbij zitten. Dat zet de dagelijkse dreigingsupdate van de Cyber Dreigingsradar op een rij, met het actuele dreigingsniveau, de belangrijkste dreigingen kort geduid en patchadvies voor uw IT.

Schrijf u gratis in voor de dagelijkse dreigingsupdate van onze partner Digiweerbaar. Van maandag tot en met zaterdag, geen kosten, opzeggen wanneer u wilt.

Wilt u daarnaast persoonlijke meldingen en de rapportages die bij een abonnement horen? Bekijk wat de Cyber Dreigingsradar 2.0 biedt.

Volg ook op YouTube | Spotify | LinkedIn

Media & Analyses